はじめに

Splunkにたまったデータを、普段使い慣れた Excelで使ってみたいと思ったことありませんか？　データをSplunkから csvなどで Exportして、Excelに取り込む方法もありますが、今回は Excelから直接 Splunkにアクセスしてデータを取得してみたいと思います。

仕組み

Splunk ODBC Driver を Windows PCにインストールすることで、ODBCドライバを利用してSplunkにアクセスして、データを取得します。
取得できるデータは、saved search. つまりレポートとして保存されたデータもしくは Data Modelを指定して取得できます。

注意点としては、現在はODBC Driverが Windows版のみリリースされており、MACでは残念ながら利用できません。 (2020/9時点)
Updateがあり、ExcelとTableau に関しては、Mac版もリリースされました (2020/11時点)

同じ仕組みを使って、Excel以外にも、Tableau や PowerBIからもSplunkにアクセスできるようになります。

設定方法

1. Splunk ODBC インストール

まずは、こちらから Splunk ODBCをダウンロードしてお手元のWindowsPCにインストールしてください。(Splunkサーバではないです）
https://splunkbase.splunk.com/app/1606/

ダウンロードすると、32bit版(x86)と64bit版(x64)の２つのファイルがあるので、環境に合わせて適切なファイルをインストールします。

途中以下のように、Splunkサーバーと、ユーザ名/パスワードを設定する画面が表示されますが、こちらに接続するSplunkサーバ情報を入力します。こちらの情報は後から変更することも可能です。

2. ExcelからODBC接続の設定をする

Excelの [Data]タブ -> [Get Data] -> [From Other Sources] -> [From ODBC] を選択します。

ODBCの選択メニューから、先ほど設定した [Splunk ODBC]を選択します。
（うまく表示されない場合は、32bit/64bitの選択が間違っている可能性があります）

3. Splunk レポート (saved search)から対象のレポートを選択する。

正常に Splunkサーバに接続できると、以下のように Splunkレポート一覧が確認できます。Excelから利用するには、直接queryを投げるのではなく、このように予めExcelからアクセスできるデータをレポートとして保存しておく必要があります。

Excelから以下のように参照できます。

ちなみに、Splunkからレポート一覧を確認するには、「設定」ー「サーチ、レポート、アラート」を選択すると表示できます。
test11 というレポートをSplunkで開くとこんな感じです。

選択して、[Load]ボタンをクリックすると、しばらくすると Excel上でレポート結果がロードされて、Excel上で加工ができるようになります。

番外編

###Proxy設定
ExcelからSplunkには 8089ポートを利用します。そのため社内からアクセスしようとすると接続エラーになるかもしれません。
その場合はProxy設定をする必要があります。
https://docs.splunk.com/Documentation/ODBC/3.0.1/UseODBC/ProxyServerConfiguration

###ODBC設定変更またはSplunkサーバの追加

ODBC Install時に設定した Splunkサーバの情報を変更もしくはSplunkサーバを追加したい場合は、以下の方法でできます。
https://docs.splunk.com/Documentation/ODBC/3.0.1/UseODBC/Configuration

ただし、私の環境では32bit Driverの設定変更ができませんでした。そのためサーバ情報の変更をする場合はdriverの uninstallして再インストールしました。（たまたまかもしれませんが）

Data Model へのアクセス

先ほどはSplunkサーバのレポート情報 (saved search) のデータをロードしましたが、Splunkで作成したData Modelにもアクセスすることができます。
https://docs.splunk.com/Documentation/ODBC/3.0.1/UseODBC/HowtotakeadvantageofdatamodelsupportintheSplunkODBCDriver

さいごに

如何だったでしょうか？様々な非構造化データをSplunkで収集して、社内レポートなど作成したい場合にこのような方法でデータをロードして見た目を整形する。
など、利用シーンは結構あると思います。是非お試しあれ